Article 41 du RGPD : contrôler un code de conduite

Un prestataire affirme adhérer à un code de conduite RGPD. Avant d’y voir une garantie, demandez quel code, pour quels services et sous le contrôle de quel organisme agréé. L’article 41 encadre ce suivi : il ne transforme pas l’adhésion en certification générale ni en protection contre les contrôles de la CNIL.

Quel contrôle l’article 41 organise-t-il ?

L’art. 40(4) prévoit des mécanismes de contrôle du respect du code par les organismes qui s’engagent à l’appliquer. L’art. 41(1) encadre l’organisme chargé de ce contrôle, avec une expertise appropriée et un agrément de l’autorité compétente. Ces dispositions préservent les missions et pouvoirs de cette autorité. RGPD, art. 40(4) et 41(1).

Le code de conduite de l’article 40 définit des règles adaptées à des traitements ou à un secteur. Son organisme de suivi vérifie leur application. Il faut donc distinguer trois pièces : le code approuvé, l’agrément de l’organisme qui le contrôle et la preuve que le prestataire applique le code dans le périmètre qui vous intéresse.

Le CEPD précise que l’agrément concerne un code déterminé, même si un organisme peut être agréé pour plusieurs codes. Un agrément existant ne permet donc pas de contrôler automatiquement n’importe quel autre code. Lignes directrices 1/2019, version 2.0 du 4 juin 2019, section 2.

Les quatre exigences de l’agrément

L’art. 41(2) impose quatre ensembles de conditions :

Ces critères sont cumulatifs. Ils ne se réduisent ni au statut juridique de l’organisme ni à la possession d’un label de sécurité. RGPD, art. 41(2)(a) à (d).

Un organisme interne est possible. Le CEPD admet un modèle interne ou externe, sous réserve d’indépendance effective : séparation des fonctions, décisions autonomes et garanties contre les conflits. Créer systématiquement une société distincte n’est donc pas une obligation découlant de l’art. 41. À l’inverse, une structure séparée sur le papier ne prouve pas à elle seule l’impartialité. Lignes directrices 1/2019, §§ 62 à 68.

Critères d’agrément et agrément individuel : deux étapes

L’art. 41(3) prévoit que l’autorité compétente soumet son projet d’exigences d’agrément au CEPD dans le mécanisme de cohérence. Il ne dit pas que chaque candidature individuelle d’un organisme est elle-même soumise à la même procédure. RGPD, art. 41(3).

L’art. 64(1)(c) organise l’avis du CEPD sur ces exigences. L’autorité doit en tenir le plus grand compte ; si elle entend ne pas suivre cet avis, les art. 64(8) et 65(1)(c) encadrent la suite. Résumer le mécanisme par un avis « purement facultatif » serait donc inexact. RGPD, art. 64 et 65.

Pour préparer un dossier, partez des exigences de l’autorité compétente et du code effectivement concerné. Réunissez les règles de gouvernance, les compétences disponibles, le financement, les procédures de contrôle, le traitement des plaintes et les mesures en cas de manquement. N’annoncez pas un coût ou un délai universel : l’article 41 ne fixe ni tarif de projet ni durée standard d’instruction.

Que se passe-t-il si un adhérent ne respecte pas le code ?

L’organisme doit prendre des mesures appropriées, sous réserve des garanties nécessaires. Il peut notamment suspendre ou exclure l’adhérent. Il informe l’autorité compétente des mesures prises et de leurs motifs. Cette information vise l’autorité qui est compétente pour le dispositif, pas systématiquement la CNIL pour tout code européen. RGPD, art. 41(4).

Ces mesures ne remplacent pas les pouvoirs de l’autorité. L’organisme de suivi peut lui-même être concerné par le régime des amendes lorsqu’il méconnaît les obligations de l’art. 41(4). RGPD, art. 83(4)(c).

L’autorité révoque l’agrément si les conditions ne sont pas ou ne sont plus respectées, ou si les mesures de l’organisme violent le règlement. Ce n’est pas seulement une faculté laissée sans condition par le texte. RGPD, art. 41(5).

Ce que l’adhésion ne remplace pas

Pour acheter une prestation, vérifiez le champ du code et la situation actuelle du fournisseur. Demandez quels produits, entités et traitements sont couverts, quelle version s’applique et comment une suspension vous serait signalée. Conservez ces pièces dans votre dossier d’évaluation du prestataire.

Le contrat de sous-traitance prévu par l’article 28 reste nécessaire lorsque cette qualification s’applique. L’adhésion peut contribuer à démontrer des garanties suffisantes, mais ne supprime pas les obligations du responsable du traitement : art. 28(1), 28(3) et 28(5).

La certification de l’article 42 constitue un instrument différent. Enfin, un code n’encadre un transfert international que si les conditions propres aux art. 40(3) et 46(2)(e) sont réunies, notamment les engagements contraignants requis. Un simple logo d’adhésion ne suffit pas. RGPD, art. 40(3) ; art. 46(2)(e). La fiche sur l’article 46 détaille les garanties appropriées.

L’art. 41(6) exclut de son champ les traitements des autorités et organismes publics. Il ne dispense pas ces traitements du RGPD et ne permet pas de transposer sans examen le modèle du secteur privé.

Passer d’un logo à un dossier de suivi utilisable

L’acheteur peut préparer une fiche courte, distincte du dossier technique de sécurité. Pour chaque justificatif, relevez la référence, son émetteur, sa date et le service auquel il se rapporte. Une liste d’adhérents consultée aujourd’hui et un rapport ancien répondent à des questions différentes : la première renseigne un statut, le second un contrôle portant sur une période et un périmètre donnés.

Voici une structure de rapprochement proposée, à adapter au code concerné :

Ce tableau est une méthode de travail, pas une liste de pièces que tout acheteur serait légalement en droit d’obtenir sans restriction. Un rapport peut contenir des données de tiers ou des informations confidentielles. Une attestation précise ou un extrait adapté peut répondre au besoin, selon le contexte. Une pièce manquante appelle une demande ciblée ; elle ne prouve pas, à elle seule, une violation du code.

Vérifiez aussi la continuité de l’information : quelle équipe reçoit un avis de suspension, qui met à jour la qualification du fournisseur et qui corrige une réponse commerciale devenue inexacte ? Fixez un déclencheur de réexamen lors d’un changement d’entité, de service ou de statut. Il s’agit d’une organisation recommandée, sans périodicité universelle imposée par l’article 41.

Préparer une réclamation sans confondre les destinataires

L’art. 41(2)(c) vise expressément les réclamations relatives aux violations du code ou à son application. Pour utiliser ce dispositif, commencez par consulter la procédure publiée. Identifiez l’adhérent concerné et exposez les faits rattachables au code. Un grief contre une facture, sans rapport avec ses exigences, ne devient pas une réclamation de protection des données parce que le fournisseur affiche un logo.

Le signalement peut réunir une chronologie, le service concerné, la règle du code invoquée et les pièces utiles. Séparez le fait observé de votre interprétation. Indiquez la date d’une demande restée sans réponse, plutôt que d’affirmer sans preuve que le fournisseur ignore toutes les demandes. Limitez les données jointes à ce qui éclaire le dossier ; ne transmettez pas une base complète de clients pour illustrer un échange isolé.

Dans le suivi, distinguez l’accusé de réception, la demande de précisions et la décision sur le fond. L’article 41 ne fixe pas un délai général de réponse d’un mois à ces réclamations. La procédure du code doit être examinée pour ses propres étapes. Si le même courrier contient une demande d’exercice de droits adressée au responsable du traitement, celle-ci conserve son régime applicable, notamment celui de l’art. 12(3) ; le recours au suivi du code ne le remplace pas.

Une personne concernée garde également le droit de saisir une autorité de contrôle dans les conditions de l’art. 77(1). Le mécanisme du code ne doit pas être présenté comme une renonciation à ce droit. RGPD, art. 40(2)(k) et art. 77.

Après une suspension : réexaminer les décisions qui en dépendaient

Une suspension peut affecter l’argument utilisé pour sélectionner un prestataire sans prouver que chaque traitement de ce prestataire est illicite. Reprenez la décision initiale : quelle garantie attendiez-vous de l’adhésion, quel manquement est en cause et quelles opérations sont concernées ? Le traitement d’une réserve documentaire et celui d’un défaut de sécurité actuel peuvent demander des réponses différentes.

Consignez les éléments confirmés, les questions ouvertes et le responsable de la suite. Vérifiez les mesures correctrices annoncées avant de les tenir pour réalisées. Si le contrat comporte une obligation d’information ou des conséquences liées au statut d’adhérent, examinez leur application. L’article 41 ne crée pas à lui seul un droit général de résiliation immédiate de tout contrat client.

Ce qu’il faut retenir

• Identifiez séparément le code, son organisme agréé et le périmètre de l’adhésion.
• Un organisme interne peut être admis si son indépendance est démontrée.
• Les exigences d’agrément et la candidature individuelle sont deux objets distincts.
• Suspension ou exclusion n’effacent pas les pouvoirs de l’autorité de contrôle.
• L’adhésion ne remplace ni le contrat nécessaire ni l’analyse des transferts.

FAQ

L’organisme de suivi doit-il être extérieur au porteur du code ?

Pas nécessairement. Un modèle interne est possible, mais il doit apporter les garanties d’indépendance, d’expertise et d’absence de conflit d’intérêts requises.

Adhérer à un code empêche-t-il une sanction CNIL ?

Non. Les pouvoirs de l’autorité demeurent. Le suivi du code et le contrôle du respect du RGPD peuvent se compléter.

L’agrément permet-il de contrôler tous les codes ?

Non. Il faut vérifier le code auquel l’agrément se rapporte. Un organisme peut détenir plusieurs agréments, chacun avec son périmètre.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.